Citrix is opnieuw in het nieuws. Het NCSC waarschuwde op 27 september voor acht kwetsbaarheden in Citrix NetScaler ADC en NetScaler Gateway. De ernst daarvan loopt uiteen, maar twee kwetsbaarheden worden volgens het NCSC al daadwerkelijk misbruikt. Citrix heeft updates uitgebracht en het advies is duidelijk: zo snel mogelijk patchen.
De gevolgen waren direct zichtbaar. Voor veel gebruikers voelde het als een Citrix-storing. Verschillende ziekenhuizen schakelden uit voorzorg digitale voorzieningen uit. Daardoor konden patiënten tijdelijk niet op afstand bij hun dossier. Ook de Rijksoverheid koppelde Citrix-omgevingen los van het internet, waardoor medewerkers die via Citrix op afstand werken niet konden inloggen en enkele applicaties niet beschikbaar waren.
Dat is vervelend en ingrijpend, maar het is wat mij betreft te gemakkelijk om daaruit de conclusie te trekken dat Citrix dus maar weg moet.
De Citrix-kwetsbaarheden waar het nu om gaat, zitten specifiek in NetScaler ADC en NetScaler Gateway en hebben betrekking op door klanten beheerde NetScaler-systemen. De waarschuwing zegt dus niet dat “Citrix” als geheel onveilig is.
Ook andere belangrijke onderdelen van een digitale werkplek kunnen kwetsbaar blijken. Dat zagen we de afgelopen jaren bijvoorbeeld bij Ivanti Connect Secure[1], Fortinet FortiGate[2] en Microsoft Exchange Server[3]. Het kan dus gaan om een VPN-oplossing, firewall, toegangssysteem of ander centraal onderdeel van de infrastructuur. Het probleem is daarmee niet uniek voor Citrix.
Is Citrix nog nodig in de moderne werkplek?
De interessantere vraag is daarom een andere: welke rol speelt Citrix in de huidige architectuur en is die rol in de toekomstige moderne werkplek nog steeds nodig? Die vraag komen wij bij Emtio regelmatig tegen bij aanbestedingen van digitale werkplekken en ICT-infrastructuur.
Incidentele aanvallen niet direct een argument tegen Citrix
In juni 2025 waarschuwde het NCSC al voor kwetsbaarheden in NetScaler ADC en Gateway. Het NCSC achtte misbruik op korte termijn toen waarschijnlijk en adviseerde organisaties met klem om de beschikbare beveiligingsupdates te installeren. Enkele weken later bleek een van de kwetsbaarheden ook op afstand vatbaar voor misbruik zonder voorafgaande authenticatie.
Op 21 juli 2025 meldde het NCSC vervolgens dat sprake was van actief misbruik van kwetsbaarheden in NetScaler. Daarbij werd niet alleen geadviseerd om te patchen, maar ook om systemen te controleren of een aanvaller mogelijk toegang tot een systeem heeft gehad. Het NCSC wees er toen expliciet op dat NetScaler en andere zogenoemde edge devices aantrekkelijke doelwitten zijn, juist omdat een aanvaller via zo’n voorziening verder toegang tot een netwerk kan proberen te krijgen.
In augustus 2025 werd het ernstiger. Het NCSC meldde na eigen onderzoek dat meerdere Nederlandse organisaties succesvol waren aangevallen. Daarbij ging het om misbruik dat al plaatsvond voordat de kwetsbaarheid publiek bekend was: een zero-day.
In augustus 2025 werd het ernstiger. Het NCSC meldde na eigen onderzoek dat meerdere Nederlandse organisaties succesvol waren aangevallen. Daarbij ging het om misbruik dat al plaatsvond voordat de kwetsbaarheid publiek bekend was: een zero-day.
En later diezelfde maand volgde opnieuw een waarschuwing voor drie andere kwetsbaarheden in NetScaler ADC en Gateway. Volgens het NCSC kwam de kwetsbare configuratie veel voor en was grootschalig misbruik daardoor waarschijnlijker.
Dat maakt het huidige incident niet automatisch tot een argument tegen Citrix. Het maakt wel duidelijk dat dit type voorziening een belangrijke plek inneemt in de beveiliging én in de continuïteit van de digitale werkplek.
Van Citrix naar een moderne werkplek: drie voorbeelden uit de praktijk
Bij verschillende aanbestedingen die Emtio de afgelopen jaren heeft begeleid, speelde de vraag of de bestaande Citrix-omgeving nog paste bij de toekomstige digitale werkplek: niet vanuit het uitgangspunt dat Citrix weg moest, maar omdat eerst opnieuw werd gekeken welke functie Citrix eigenlijk nog vervulde.
Bij een publieke organisatie waar nog met een Citrix/XenApp-omgeving werd gewerkt, is bij de voorbereiding van de nieuwe werkplek bijvoorbeeld niet simpelweg gezocht naar een vervangend product. Eerst is gekeken welke applicaties nog desktop- of applicatievirtualisatie (VDI) nodig hadden. Een deel kon rechtstreeks op de moderne werkplek draaien. Andere toepassingen waren als SaaS (Software as a Service) beschikbaar. Alleen waar dat echt nodig was, bleef tijdelijk een centrale voorziening bestaan. Daardoor kon de afhankelijkheid van Citrix geleidelijk worden verminderd.
Bij een andere gemeentelijke ICT-omgeving was de uitfasering van Citrix onderdeel van een veel bredere verandering. Daar ging het ook om een nieuwe Microsoft 365-werkplek, een andere inrichting van de infrastructuur en een nieuwe verdeling van werkplekbeheer en regie. Ook daar was Citrix dus niet op zichzelf het probleem. Het was één onderdeel van een bestaande architectuur die als geheel opnieuw werd bekeken.
En bij weer een andere organisatie zagen we dat het gebruik van Citrix eigenlijk al vanzelf afnam. Steeds meer applicaties waren inmiddels als SaaS beschikbaar en medewerkers werkten steeds meer rechtstreeks vanaf moderne laptops.
Per toepassing bepalen of een virtuele werkplek nodig is
Dan ontstaat vanzelf de vraag of een aparte virtualisatie-laag, een virtuele werkplek of VDI-omgeving, nog in dezelfde omvang nodig is. Dat lijkt een belangrijk punt. De vraag of Citrix nog nodig is, moet uiteindelijk niet op productniveau maar per toepassing en per functie worden beantwoord. In een aanbesteding zou ik daarom niet zomaar als eis opnemen dat Citrix moet worden vervangen, omdat je daarmee de technische uitkomst al bepaalt voordat je het achterliggende probleem goed hebt onderzocht. Het is daarom beter om eerst te beschrijven wat je wilt bereiken. Dat kan bijvoorbeeld gaan om veilige toegang tot applicaties vanaf verschillende locaties, sterke authenticatie, goed patch management en vulnerability management, logging en monitoring, continuïteit en de mogelijkheid om onderdelen van de omgeving later te vervangen zonder opnieuw de hele digitale werkplek te moeten ontwerpen. De markt kan vervolgens aangeven hoe zij dat oplost.
Wat als een essentiële voorziening niet meer veilig is?
In aanbestedingen besteden we vaak veel aandacht aan beschikbaarheidspercentages: 99,9 procent, 99,95 procent of nog hoger. Maar wat zegt zo’n percentage als een voorziening technisch gezien gewoon werkt, terwijl je hem vanwege een ernstige kwetsbaarheid toch van internet moet loskoppelen? Want dat is wat nu bij verschillende organisaties gebeurt. De relevante vraag is dus niet alleen hoeveel uur een systeem per jaar beschikbaar is. Minstens zo belangrijk is wat er gebeurt als een essentiële voorziening plotseling niet meer veilig gebruikt kan worden. Dan moet vooraf duidelijk zijn welke dienstverlening nog beschikbaar blijft, of kritieke applicaties via een alternatieve route bereikbaar zijn en welke rol de leverancier van het werkplekbeheer heeft bij het afschakelen, herstellen en opnieuw in gebruik nemen van de omgeving. Dat geldt ook als de oorzaak ligt bij software of infrastructuur van een fabrikant of andere derde.
Conclusie: breng de afhankelijkheden in de digitale werkplek opnieuw in kaart
De conclusie is dus niet dat iedere organisatie Citrix nu moet uitfaseren. Wel is dit een goed moment om opnieuw te kijken naar de afhankelijkheden in de digitale werkplek: welke voorzieningen nog echt nodig zijn, welke vooral historisch zijn gegroeid, welke applicaties inmiddels op een andere manier kunnen worden aangeboden en welke alternatieven beschikbaar zijn als een belangrijk onderdeel tijdelijk niet veilig kan worden gebruikt.
Niet vanuit een voorkeur voor of tegen Citrix of een ander product, maar vanuit de vraag welke ICT-omgeving een organisatie de komende jaren werkelijk nodig heeft en hoe je voorkomt dat technische keuzes van vandaag later onnodig moeilijk terug te draaien zijn.
Dat is ook de rol die Emtio bij aanbestedingen van de digitale werkplek en werkplekbeheer vervult: niet voorschrijven welke technologie eruit moet, maar helpen bepalen welke architectuur en afhankelijkheden voor de toekomstige dienstverlening nog verantwoord en nodig zijn.
[1] NCSC, “Ernstige kwetsbaarheden in Ivanti Connect Secure en Policy Secure”, 9 januari 2025. Het NCSC beschrijft daarin onder meer CVE-2025-0282. Ivanti Connect Secure is een VPN-oplossing die rechtstreeks met internet verbonden kan zijn; het NCSC adviseerde organisaties met spoed te updaten en aanvullende controles uit te voeren op mogelijk misbruik.
[2] NCSC, “Actief misbruik kritieke kwetsbaarheid in FortiOS SSL-VPN”, oorspronkelijk 9 februari 2024, geactualiseerd op 18 maart 2024. De kwetsbaarheid CVE-2024-21762 maakte het mogelijk om zonder authenticatie een denial-of-service te veroorzaken of op afstand code uit te voeren en systemen over te nemen.
[3] NCSC, “Ernstige kwetsbaarheden in Microsoft Exchange Server”, 28 augustus 2026. Het NCSC meldt onder meer dat CVE-2026-62911 op afstand en zonder inloggegevens kan worden misbruikt voor het uitvoeren van schadelijke code. Microsoft heeft beveiligingsupdates uitgebracht en het NCSC adviseert deze zo snel mogelijk te installeren.
